Sebuah pelanggaran tunggal di sebuah perusahaan teknologi pemasaran sekali lagi menunjukkan betapa rapuhnya rantai pasokan web. Menurut laporan dari PCMag, penyerang mengompromikan Brevo, sebuah vendor pemasaran online, dan menggunakan akses tersebut untuk meluncurkan serangan malware bergaya ClickFix di berbagai situs web dalam satu hari. Insiden ini adalah contoh jelas bagaimana serangan malware ClickFix tidak perlu menargetkan korban secara langsung. Serangan ini dapat masuk melalui layanan pihak ketiga yang tepercaya.
Bagaimana Peretasan Brevo Membuka Pintu
Brevo menyediakan alat pemasaran yang banyak digunakan bisnis dengan menyematkannya langsung ke situs web mereka, seperti formulir pendaftaran email, widget obrolan, atau skrip pelacakan. Ketika vendor seperti ini dikompromikan, penyerang tidak hanya mendapatkan akses ke satu situs. Mereka mendapatkan pijakan di setiap situs web yang telah mengintegrasikan kode vendor tersebut. Dalam kasus ini, pelanggaran di Brevo menciptakan jalur bagi penyerang untuk menyuntikkan serangan bergaya ClickFix ke berbagai situs secara bersamaan, mengubah satu titik kegagalan menjadi saluran distribusi malware massal.
Inilah yang membuat pelanggaran di sisi vendor sangat berbahaya dari sudut pandang privasi dan keamanan. Pemilik situs sering kali memiliki sedikit visibilitas terhadap perubahan yang dilakukan di sisi vendor, dan pengunjung tidak memiliki cara untuk mengetahui bahwa skrip yang berjalan di latar belakang situs web yang familiar tiba-tiba berubah menjadi berbahaya.
Apa yang Sebenarnya Dilakukan Serangan ClickFix
ClickFix adalah teknik rekayasa sosial yang semakin umum. Alih-alih mengeksploitasi kerentanan teknis di browser atau sistem operasi, teknik ini mengandalkan penipuan terhadap orang yang duduk di depan keyboard. Biasanya, perintah palsu muncul di halaman web, sering kali menyamar sebagai pemeriksaan CAPTCHA, pesan kesalahan, atau langkah yang diperlukan untuk memperbaiki masalah yang diklaim ada pada halaman tersebut. Perintah tersebut menginstruksikan pengunjung untuk menyalin sepotong teks dan menempelkannya ke jendela command atau kotak run di komputer mereka.
Teks yang ditempelkan sebenarnya adalah perintah berbahaya. Setelah dijalankan, perintah tersebut dapat memasang malware tanpa pengguna pernah mengunduh file dalam pengertian tradisional atau mengklik tautan yang jelas. Karena serangan ini mengandalkan tindakan pengguna alih-alih celah perangkat lunak, serangan ini dapat melewati banyak pertahanan teknis yang dirancang untuk menangkap metode pengiriman malware konvensional. Itulah sebagian alasan mengapa ClickFix menjadi taktik pilihan bagi penyerang yang ingin mengompromikan sejumlah besar perangkat dengan cepat.
Pola Kompromi Rantai Pasokan yang Semakin Berkembang
Insiden Brevo sesuai dengan pola yang lebih luas di mana penyerang menargetkan alat dan platform yang diandalkan perusahaan lain, alih-alih menyerang pengguna akhir atau bahkan bisnis individu secara langsung. Ini adalah dinamika yang serupa dengan apa yang terjadi ketika ShinyHunters mengklaim telah meretas Metabase, sebuah platform analitik bisnis yang digunakan oleh lebih dari 100.000 organisasi, yang menempatkan sejumlah besar pengguna hilir pada potensi risiko dari satu pelanggaran tunggal. Ini juga menggemakan kekhawatiran yang muncul seputar kerentanan yang belum ditambal di platform yang banyak digunakan seperti GeoServer, di mana satu celah yang tidak ditangani di infrastruktur bersama dapat dieksploitasi di banyak organisasi sekaligus.
Insiden-insiden ini memiliki benang merah yang sama: semakin terhubungnya web, dengan bisnis yang mengandalkan skrip, plugin, dan platform pihak ketiga, semakin besar dampak yang dapat ditimbulkan oleh satu vendor yang dikompromikan menjadi serangan yang meluas.
Apa Artinya Bagi Anda
Bagi pengguna internet sehari-hari, pelajaran dari serangan malware ClickFix ini bukanlah bahwa situs web tertentu tidak dapat dipercaya. Melainkan bahwa bahkan situs web yang sah dan familiar dapat sementara waktu dijadikan senjata tanpa kesalahan mereka sendiri, semata-mata karena vendor yang mereka andalkan dikompromikan. Pertahanan sesungguhnya di sini bermuara pada mengenali pola ClickFix itu sendiri. Tidak ada situs web yang sah yang akan meminta Anda membuka command prompt atau kotak run dan menempelkan teks untuk "memverifikasi" bahwa Anda manusia atau untuk "memperbaiki" masalah tampilan. Instruksi tersebut, di mana pun muncul, harus diperlakukan sebagai tanda bahaya setiap saat.
Langkah-Langkah yang Dapat Diambil
Jika Anda menemukan perintah yang meminta Anda menyalin dan menempelkan perintah ke komputer Anda, segera tutup halaman tersebut alih-alih mengikuti instruksinya. Selalu perbarui sistem operasi dan browser Anda, karena tambalan terkadang dapat mengurangi dampak skrip yang berhasil lolos. Pertimbangkan menggunakan ekstensi browser atau alat keamanan yang menandai perilaku skrip mencurigakan di halaman web yang Anda kunjungi. Dan jika Anda menjalankan situs web yang mengandalkan alat pemasaran atau analitik pihak ketiga, pantau integrasi tersebut dengan cermat dan bersiaplah untuk memutusnya dengan cepat jika vendor mengungkapkan adanya pelanggaran. Insiden seperti peretasan Brevo adalah pengingat bahwa kewaspadaan tidak boleh berhenti di pintu depan Anda sendiri. Kewaspadaan harus mencakup setiap vendor dan skrip yang menyentuh situs yang Anda gunakan setiap hari.
